İşe Alımda Yapay Zekâ Kullanımı: CV Eleme ve Adayın KVKK Hakları

İşe alımda yapay zekâ kullanımı, adayların özgeçmişlerini özetlemekten başvuruları puanlayarak elemek üzere tasarlanmış sistemlere kadar farklı uygulamaları kapsar. Bu araçların kullanılması, adayın kişisel verilerinin korunmasına ilişkin yükümlülükleri ortadan kaldırmaz. Özellikle yalnızca otomatik analizle aday aleyhine sonuç doğması hâlinde, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 11. maddesindeki itiraz hakkı önem kazanır.

Bir şirketin yüzlerce başvuruyu daha hızlı incelemek istemesi anlaşılabilir. Ancak hız kazanımı ile hukuki uygunluk aynı şey değildir. CV’nin hangi sisteme aktarıldığı, hangi bilgilerden puan üretildiği ve son kararı kimin verdiği ayrı ayrı ele alınmalıdır. Aday açısından da olumsuz yanıtın otomatik verilmesi, tek başına hukuka aykırılığın veya tazminat hakkının kanıtı değildir. Önce sürecin nasıl işlediğini anlamak gerekir.

Bu yazı; genel yapay zekâ ve hukuk tartışmasından farklı olarak CV eleme, aday değerlendirmesi ve ilgili kişinin hakları üzerine odaklanır. Çalışanların mesai veya e-posta takibi başka bir inceleme alanıdır. İçerik genel bilgilendirme amacıyla hazırlanmıştır; somut uyuşmazlıkta başvuru belgeleri, kullanılan sistem ve güncel mevzuat birlikte değerlendirilmelidir.

İşe alımda yapay zekâ hangi aşamalarda kullanılır?

Bir işe alım yazılımı CV’deki eğitim ve deneyim bilgilerini sınıflandırabilir, ilandaki gerekliliklerle eşleştirme yapabilir veya görüşme için kısa bir aday listesi önerebilir. Bazı uygulamalar ise belirli puanın altında kalan başvuruları insan değerlendirmesine sunmadan eler. Hukuki incelemede bu ayrım önemlidir: aynı “yapay zekâ destekli” etiketi, birbirinden oldukça farklı karar süreçlerini örtebilir.

Özet hazırlamak ile aday elemek arasındaki fark

İnsan kaynakları çalışanının okuyacağı bir özet hazırlamak, iş başvurusunu kendiliğinden reddetmekle aynı işlem değildir. İlkinde sistem yardımcı bir çıktı üretir; ikincisinde adayın sürece devam edip edemeyeceğini belirleyebilir. Bununla birlikte özet üretimi de kişisel veri işleme niteliği taşıyabilir. Araç yalnızca yardımcı olduğu için veri aktarımı, güvenliği ve bilgilendirme soruları ortadan kalkmaz.

Örneğin bir CV’deki iki yıllık kariyer arası, sistem tarafından “deneyim eksikliği” olarak özetlenebilir. Oysa bu dönem kişinin açıklayabileceği farklı bir nedene dayanıyor olabilir. Buradaki pratik mesele, yazılımın özetini değiştirilmez gerçek olarak kabul etmek yerine asıl belgeyle karşılaştırmaktır. Bu örnek varsayımsaldır; herhangi bir gerçek aday veya dava hakkında bilgi içermez.

İnsan onayı gerçekten var mı?

Ekranda bir onay düğmesi bulunması, her durumda anlamlı insan değerlendirmesi yapıldığını göstermez. İncelemeyi yapan kişinin CV’yi görebilmesi, puanın dayandığı verileri sorgulayabilmesi ve gerektiğinde farklı bir sonuca ulaşabilmesi önemlidir. Uygulama kaydında yalnızca “onaylandı” yazıyorsa, bu kayıt incelemenin kapsamını açıklamaya yetmeyebilir. Sürecin fiilen nasıl yürütüldüğü, kullanılan isimlerden daha belirleyicidir.

CV verilerinin işlenmesinde hangi KVKK kuralları dikkate alınır?

Ad, iletişim bilgileri, eğitim geçmişi ve çalışma deneyimi belirli bir adayla ilişkilendirildiğinde kişisel veridir. Bu bilgilerin yazılıma yüklenmesi, sınıflandırılması veya paylaşılması için uygun işleme şartı bulunmalıdır. KVKK’nın kişisel veri işleme şartlarına ilişkin açıklaması, açık rızanın tek dayanak olmadığını; Kanun’da diğer şartların da düzenlendiğini belirtir. Hangi şartın uygulanacağı, işlemin amacı ve gerekliliğiyle birlikte değerlendirilir.

“Aday CV’sini kendisi gönderdi” düşüncesi, içeriğin her amaçla kullanılabileceği anlamına gelmez. Başvuruyu değerlendirmek ile aynı CV’yi başka şirketlerin aday havuzuna açmak farklı amaçlardır. Benzer biçimde CV’deki verilerin dış bir modelin eğitiminde kullanılması, işe alım değerlendirmesinin doğal uzantısı sayılmamalıdır. Her ek kullanım için kapsam yeniden incelenmelidir.

CV veya eklerinde sağlık, sendika üyeliği ya da ceza mahkûmiyeti gibi özel nitelikli kişisel veriler de bulunabilir. Bunlar için Kanun’un 6. maddesindeki güncel işleme şartları ve gerekli güvenlik tedbirleri ayrıca değerlendirilir. Adayın bu bilgileri kendiliğinden paylaşması, hepsinin pozisyon bakımından gerekli olduğu anlamına gelmez; ilgisiz hassas verilerin toplanması veya sisteme aktarılması sınırlandırılmalıdır.

Aydınlatma metni ile açık rıza birbirinin yerine geçmez

Adayın bilgilendirilmesi ayrı bir yükümlülüktür. Aydınlatma yükümlülüğü kapsamında veri sorumlusunun kimliği, işleme amaçları, aktarım bilgileri, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları açıklanır. Formdaki genel bir “kabul ediyorum” kutusu, açıklanmamış veri akışını anlaşılır hâle getirmez. Açık rıza gerekiyorsa bu da kendi şartlarına göre ele alınmalıdır.

Uygulamada açıklamanın gerçekten kullanılan iş akışına uyması gerekir. Örneğin metinde yalnızca şirket içi incelemeden söz edilirken CV’ler başka bir sağlayıcının sistemine yükleniyorsa, metin ile uygulama arasında fark oluşur. Bu nedenle belge hazırlamak kadar, o belgenin anlatıldığı şekilde çalışıldığını kontrol etmek de önemlidir.

Otomatik CV eleme kararına itiraz edilebilir mi?

KVKK’nın ilgili kişi hakları açıklamasında, işlenen verilerin yalnızca otomatik sistemlerle analiz edilmesi nedeniyle kişi aleyhine sonuç doğmasına itiraz edilebileceği belirtilir. Her yapay zekâ kullanımı bu koşulu kendiliğinden sağlamaz. Adayın reddedilme biçimi, insanın karardaki rolü ve analiz edilen veriler somut olayda araştırılmalıdır.

Aday, kişisel verilerinin işlenip işlenmediğini, işleme amacını ve aktarıldığı üçüncü kişileri de sorabilir; eksik veya yanlış verilerin düzeltilmesini talep edebilir. Bilgi talebi, işe alınmayı zorunlu kılan bir hak olarak yorumlanmamalıdır. Aynı şekilde bu haklar, her durumda yazılımın kaynak kodunun veya başka adayların bilgilerinin açıklanmasını gerektirdiği şeklinde sunulamaz.

Başvuruda hangi sorular sorulabilir?

Talebin açık hazırlanması, hangi işlemin incelenmesinin istendiğini anlaşılır kılar. Aday; başvuru tarihi, pozisyon ve varsa referans numarasıyla dosyasını belirleyebilir. Ardından kendi verileriyle ilgili şu soruları yöneltebilir:

• CV’mdeki hangi veriler değerlendirme sisteminde işlendi?
• Benimle ilişkilendirilen bir puan veya değerlendirme kaydı oluşturuldu mu?
• Verilerim hangi amaçla ve kimlere aktarıldı?
• Başvurum yalnızca otomatik analiz sonucunda mı elendi?
• Yanlış deneyim veya eğitim kaydının düzeltilmesini nasıl isteyebilirim?

Bu sorular örnek bir hazırlık çerçevesidir; hazır dilekçe veya her dosyada aynı biçimde kullanılacak bir başvuru değildir. Talebin doğru veri sorumlusuna yöneltilmesi ve usule uygun iletilmesi gerekir. Kimlik doğrulaması için istenen bilgiler de ihtiyaçla sınırlı değerlendirilmelidir; gereksiz belge paylaşımı yeni bir veri riski yaratabilir.

Veri sorumlusuna başvuru ve Kurula şikâyet nasıl ayrılır?

KVKK kapsamındaki Kurul şikâyetinden önce veri sorumlusuna başvurulması gerekir. Başvuru hakkına ilişkin resmî açıklama, bu ön koşulu yargıya başvuruyla karıştırmamak gerektiğini de belirtir. Kurula şikâyet ile kişilik haklarının korunmasına yönelik yargısal yollar aynı süreç değildir.

Başvurunun reddedilmesi, cevabın yetersiz bulunması veya 30 gün içinde yanıt verilmemesi hâlinde şikâyet gündeme gelebilir. Resmî süre açıklamasına göre Kurula şikâyet, cevabın öğrenilmesinden itibaren 30 gün ve her durumda başvuru tarihinden itibaren 60 gün içinde yapılır. Tarihler, yanıtın geldiği gün ve başvurunun niteliği dikkate alınarak hesaplanmalıdır.

İlanın kaydı, başvuru teyidi, aydınlatma metninin görülen sürümü, ret mesajı ve başvurunun teslim kanıtı dosyanın anlaşılmasına yardımcı olabilir. Belgeler hukuka uygun biçimde saklanmalı; başka adayların kayıtlarına erişilmeye çalışılmamalıdır. Süreleri kaçırmamak için cevap beklemek ile hukuki yolun şartlarını araştırmak birlikte yürütülebilir.

İşverenin kullandığı dış yazılım neden ayrıca incelenmelidir?

Bir yazılım sözleşmesinde “KVKK uyumlu” ifadesinin bulunması, şirketin kendi kullanımını otomatik olarak uygun hâle getirmez. CV’lerin nereye gönderildiği, sağlayıcının verilere erişimi ve şirket adına hangi işlemleri yaptığı anlaşılmalıdır. Rol dağılımı yalnızca sözleşmedeki unvana değil, tarafların fiilî işlevlerine de bağlıdır.

Veri sorumlusu, hukuka aykırı işlemeyi ve erişimi önlemek, verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almalıdır. Veriler kendi adına başka bir kişi tarafından işleniyorsa, Kanun’un 12. maddesindeki bu tedbirler bakımından müşterek sorumluluk söz konusudur. Tedarikçi sözleşmesi, şirketin güvenlik yükümlülüklerinin bütünüyle devredildiği anlamına gelmez.

Yurt dışındaki sunucu veya sağlayıcı

Veri akışı yurt dışına aktarım oluşturuyorsa, Kanun’un 9. maddesindeki güncel şartlar ayrıca değerlendirilir. KVKK’nın yurt dışına aktarım açıklaması, yeterlilik kararı, uygun güvenceler ve belirli istisnai durumların ayrımını ortaya koyar. Yazılımı satın almak ya da adayın başvuruyu göndermesi, aktarım şartlarının yerine geçtiği anlamına gelmez.

İnsan kaynakları ve bilişim ekibinin aynı veri akışı üzerinde çalışması burada önem taşır. Satın alma sırasında sunucu konumu sorulmuş olsa bile, sonradan açılan bir yapay zekâ özelliği farklı bir sağlayıcıya veri gönderebilir. Kullanılan özelliklerin kaydı ve güncel tedarikçi bilgileri, hukuki incelemenin teknik gerçeklikle bağlantısını korur.

Aday havuzunda saklama ve yeniden kullanım

Bir pozisyon için değerlendirilmiş CV’nin sonraki ilanlarda kullanılmak üzere saklanması, ayrıca açıklanması gereken bir amaç olabilir. Her aday verisi için tek ve değişmez bir saklama süresi önermek doğru değildir. İşleme amacı, hukuki yükümlülükler ve hakların korunması ihtiyacı değerlendirilir; gereksiz saklama ile gerekli kayıtları erken silme arasında dikkatli bir ayrım yapılır.

Kanun’un 7. maddesi uyarınca işleme sebeplerinin tamamı ortadan kalktığında kişisel veriler resen veya ilgili kişinin talebi üzerine silinmeli, yok edilmeli ya da anonim hâle getirilmelidir. Bunun koşulları ve uygulanacak yöntem, geçerli saklama gerekçeleriyle birlikte incelenir. “İleride lazım olur” düşüncesi, süresiz aday havuzu tutmak için tek başına yeterli gerekçe değildir.

Uygulamada işe alım süreci nasıl kontrol edilebilir?

Aşağıdaki liste, kanuni yükümlülüklerin tamamını içeren bir uygunluk belgesi değil, iş akışını anlamaya yardımcı bir kontrol çerçevesidir. Şirketlerin farklı sektör ve pozisyonlarda aynı veri setini kullanması gerekmez. Aliağa’daki bir üretim tesisiyle uzaktan çalışan bir yazılım şirketinin aday değerlendirme ihtiyaçları farklı olabilir.

1. Aracın CV özeti mi, puan mı, otomatik ret kararı mı ürettiğini belirleyin.
2. Toplanan verileri pozisyonun gereklilikleriyle karşılaştırın.
3. Verilerin geçtiği şirket ve sağlayıcıları haritalayın.
4. Aydınlatma metnini gerçek uygulamayla karşılaştırın.
5. Yanlış puan veya kayıt için düzeltme kanalını test edin.
6. İnsan incelemesinin hangi noktada ve hangi bilgilerle yapıldığını açıklayın.
7. Başvuru ve itirazları teslim tarihiyle birlikte kayıt altına alın.

Kontrolün yalnızca ilk kurulumda yapılması yeterli olmayabilir. İlan ölçütleri, sistem ayarları veya sağlayıcı değiştiğinde önceki değerlendirme güncelliğini yitirebilir. Hukuki inceleme ile teknik testin birbirini tamamlaması, kâğıt üzerinde farklı ve uygulamada farklı çalışan bir sürecin fark edilmesini sağlar.

Sonuç

İşe alımda yapay zekâ kullanımı, CV okumayı kolaylaştıran bir yardımcı araç ile adayın geleceğini etkileyen otomatik eleme sistemi arasında değişebilir. Bu nedenle yalnızca ürünün adıyla karar vermek yerine, verinin yolculuğuna ve sonucun nasıl üretildiğine bakılmalıdır. Aday bakımından ilk adım, kendi verileriyle ilgili açık bir bilgi ve gerekiyorsa düzeltme veya itiraz talebi hazırlamaktır. İşveren bakımından ise amaç, veri kapsamı, sağlayıcı ilişkisi ve insan değerlendirmesini birbirinden koparmadan ele almak gerekir.

KVKK’nın istihdamda yapay zekâ konulu güncel duyurusu da bu alanın tartışılmakta olduğunu gösterir; duyurunun kendisi yeni bir kanun veya bağlayıcı karar değildir. Konu, Sinan Eroğlu Hukuk Bürosunun faaliyet alanlarında yer alan kişisel verilerin korunması ve iş hukukunun kesişiminde bulunmaktadır. Bu metin belirli bir uyuşmazlığın sonucuna ilişkin güvence vermez.

Sık Sorulan Sorular

Yapay zekâ ile CV elemek tamamen yasak mı?

Her kullanım için genel bir yasak veya genel bir uygunluk sonucu çıkarılamaz. İşlenen veriler, hukuki sebep, bilgilendirme, aktarım ve karar süreci değerlendirilir. Yalnızca otomatik analiz sonucu aday aleyhine sonuç doğması hâlinde ilgili kişinin itiraz hakkı ayrıca önem kazanır.

Adayın onay vermesi bütün işlemleri hukuka uygun yapar mı?

Hayır. Açık rızanın geçerlilik şartları ve diğer veri koruma yükümlülükleri ayrı konulardır. Aydınlatma metnindeki bir onay kutusu, amaç dışı kullanım veya belirsiz veri aktarımını tek başına açıklamaz. Uygun hukuki sebebin her işlem için değerlendirilmesi gerekir.

Ret mesajını almak doğrudan Kurula şikâyet için yeterli mi?

KVKK kapsamındaki Kurul şikâyeti için önce veri sorumlusuna usule uygun başvuru yapılmalıdır. Ret mesajı ile bu başvurunun reddedilmesi aynı şey değildir. Başvuruya verilen cevap ve kanuni süreler birlikte kontrol edilir.

Şirketin olumsuz kararına itiraz edersem işe alınmam gerekir mi?

İlgili kişi haklarını kullanmak, kendiliğinden işe alınma veya tazminat sonucu doğurmaz. Hakların kapsamı, olası ihlal ve başvurulabilecek yollar dosyanın özelliklerine göre belirlenir. KVKK süreciyle diğer hukuki talepler birbirinden ayrılmalıdır.

CV’deki yanlış bilgi için hangi talep hazırlanabilir?

Aday, kendi kişisel verilerindeki eksik veya yanlış kaydın düzeltilmesini veri sorumlusundan isteyebilir. Talepte yanlış kaydın hangi başvuruyla ilgili olduğu ve doğru bilginin ne olduğu açıklanmalıdır. Başka kişilerin belgeleri eklenmemeli; yalnızca gerekli ve hukuka uygun şekilde elde edilmiş bilgiler kullanılmalıdır.

CV’nin şirketin aday havuzunda kalması için tek süre var mı?

Her şirket ve pozisyon için tek bir süre söylemek doğru değildir. Saklama amacı ve hukuki gerekçeler değerlendirilir. İşleme sebeplerinin tamamı ortadan kalktığında silme, yok etme veya anonimleştirme yükümlülüğü gündeme gelir; belirsiz bir gelecekte kullanılma ihtimali tek başına süresiz saklamayı açıklamaz.

Kaynaklar

• KVKK — Özel nitelikli kişisel veriler
• KVKK — Kişisel verilerin silinmesi
• KVKK — Veri güvenliği yükümlülükleri

• KVKK — İlgili kişinin hakları
• KVKK — Başvuru hakkı
• KVKK — Şikâyet hakkı
• KVKK — Kişisel veri işleme şartları
• KVKK — Aydınlatma yükümlülüğü
• KVKK — Yurt dışına aktarım
• KVKK — Üretken yapay zekâ rehberi